Wat niet naleven echt heeft gekost
Echte besluiten, met de toezichthouder, de datum en de bron. Boetes zijn niet automatisch en we voorspellen er nooit een voor u. Maar de maxima zijn hoog, de controles zijn geautomatiseerd en de meeste zaken beginnen met één klacht.
Wat kleinere bedrijven echt meemaken
E-mail uit uw naam
De kosten zijn fraude en verloren e-mail, geen toezichthouder.
Tracking vóór toestemming
Vereenvoudigde procedure: tot € 20.000 voor organisaties met minder dan € 50 mln omzet (CNIL, geraadpleegd nov 2026). Begin 2026 bedroegen 23 van zulke sancties gemiddeld ongeveer € 5.800, en geen enkele kwam op het maximum (Journal de l'économie, 7 jul 2026).
Klanten met een beperking
Rechters kunnen herstel binnen zes maanden opleggen met een dwangsom, zoals bij Carrefour in juni 2026 (PinMeTo, 2026).
Betaal- en websitebeveiliging
De grotere kosten zijn onderzoek, meldingen en verloren vertrouwen.
De kosten waarvoor niemand u beboet
aan gemelde verliezen door fraude via zakelijke e-mail in de VS in 2025: valse facturen en betaalverzoeken, meestal van vervalste adressen of adressen die erop lijken.
McDonald Hopkins, 7 apr 2026van de online klanten met een beperking verlaat een website die moeilijk te gebruiken is. Britse retailers verloren zo naar schatting £ 17,1 mld per jaar.
AbilityNet, 11 feb 2020grootste e-mailproviders (Gmail, Yahoo, Outlook) weigeren nu bulkmail van domeinen zonder SPF, DKIM en DMARC of zetten die bij de spam.
DMARC Report, 2025webwinkels in een paar uur gehackt op 14 oktober 2024, vier maanden nadat de oplossing voor het lek was gepubliceerd.
Sansec, 2024Echte sancties en rechterlijke bevelen
| Datum | Wie besliste | Tegen | Uitkomst | Waarom | Bron |
|---|---|---|---|---|---|
| sep. 2025 | CNIL | Google LLC en Google Ireland | € 325.000.000 | Cookies: toestemming voor advertentietrackers niet geldig | CNIL |
| sep. 2025 | CNIL | Shein (Infinite Styles Services) | € 150.000.000 | Cookies geplaatst zonder toestemming | CNIL |
| dec. 2025 | CNIL | American Express | € 1.500.000 | Cookies | CNIL |
| nov. 2025 | CNIL | Uitgever van vanityfair.fr | € 750.000 | Cookies geplaatst zonder toestemming | CNIL |
| jan. t/m juli 2026 | CNIL (vereenvoudigde procedure) | 23 kleinere organisaties | € 133.750 in totaal, ongeveer € 5.800 per organisatie | Camerabewaking, cookies, genegeerde inzageverzoeken | Journal de l'économie |
| juni 2026 | Rechtbank in Caen | Carrefour France | Bevel om binnen zes maanden volledig toegankelijk te zijn, met een dwangsom per dag | Webwinkel en app niet toegankelijk (EAA) | PinMeTo |
| mei 2026 | Rechtbank in Lille | Auchan | Vordering op procedurele gronden afgewezen; hoger beroep loopt | De rechter merkte op dat de site niet aan de toegankelijkheidsnormen voldeed | PinMeTo |
| dec. 2025 | CNIL | Een retailer (door de CNIL anoniem gehouden) | € 3,5 miljoen | Gegevens van leden van een klantenprogramma zonder geldige toestemming naar een sociaal netwerk gestuurd voor gerichte advertenties | CNIL |
| okt. 2026 | CNIL | Fnac Darty en Fnac Direct | € 7 miljoen | Cookies en trackers, ook in de mobiele app | CNIL |
| mei 2019 | CNIL | SERGIC, een vastgoedbeheerbedrijf (genoemd in de uitspraak van de Conseil d'État van nov. 2020) | € 400.000 en publicatie | Dossiers van kandidaat-huurders (identiteitskaarten, belastingaanslagen, bankgegevens, echtscheidingsvonnissen) te openen door een getal in een webadres te veranderen, zonder login; lek bekend sinds maart 2018, gedicht in september 2018; dossiers van afgewezen kandidaten nooit opgeschoond | CNIL |
| nov. 2020 | Conseil d'État | SERGIC | Beroep verworpen, boete van € 400.000 bevestigd | Het lek had voorkomen kunnen worden met eenvoudige maatregelen zoals gebruikersauthenticatie; het dossier van elke kandidaat in de actieve database bewaren was buitensporig | Conseil d'État |
| jan. 2024 | CNIL | Uitgever van een website met woningadvertenties voor particuliere verkopers (anoniem gehouden in het besluit van de CNIL) | € 100.000 | Wachtwoorden mochten één teken lang zijn en werden in leesbare tekst opgeslagen, voor ongeveer 5 miljoen accounts; gegevens langer bewaard dan de opgegeven termijnen; onvolledige verwerkersovereenkomst en privacyverklaring | CNIL |
| dec. 2024 | CNIL | Een klein makelaarskantoor (door de CNIL anoniem gehouden) | € 40.000 | Personeel gevolgd met camera's die ook geluid opnamen en met software die schermafbeeldingen maakte; één beheerdersaccount met wachtwoord gedeeld door vier mensen; geen effectbeoordeling | CNIL |
| juni 2024 | CNIL (vereenvoudigde procedure) | Een bedrijf gespecialiseerd in vastgoedbeheer (door de CNIL anoniem gehouden) | € 12.000 | Toestemming en informatie over cookies | CNIL |
| dec. 2025 | CNIL (vereenvoudigde procedure) | Een softwarebedrijf voor het beheer van verhuur en mede-eigendom (door de CNIL anoniem gehouden) | € 15.000 en een bevel tot naleving | Rechtsgrond voor marketing, informatie, gegevensbeveiliging | CNIL |
| dec. 2025 | CNIL (vereenvoudigde procedure) | Een publieke organisatie die huurwoningen beheert (door de CNIL anoniem gehouden) | € 20.000 en een bevel tot naleving | Doelbinding, minimalisatie, informatie, recht van bezwaar, gegevensbeveiliging | CNIL |
| juli 2018 | CNIL | Een sociale woningcorporatie (door de CNIL anoniem gehouden) | € 30.000 | Huurdersbestand gebruikt om elke huurder een brief te sturen met een campagne tegen een korting op de huurtoeslag, een doel dat niet verenigbaar is met woningbeheer | CNIL |
| apr. 2017 | CNIL | Een makelaarskantoor (door de CNIL anoniem gehouden) | Geldboete, niet openbaar gemaakt | Bewaartermijnen, informatie, beveiliging en geen antwoord aan de CNIL, over huurders en verhuurders | CNIL |
| juli 2019 | CNIL (controleprogramma) | Ongeveer tien makelaarskantoren, aangesloten bij een netwerk en zelfstandig (niet genoemd) | Herinneringen aan verplichtingen en corrigerende maatregelen | Controles ter plaatse in 2018; terugkerende tekortkomingen bij het informeren van kandidaten en borgstellers, bewaartermijnen, fysieke en IT-beveiliging | CNIL |
| dec. 2020 | CNIL | Twee vrijgevestigde artsen (niet genoemd) | € 3.000 en € 6.000 | Duizenden medische beelden op hun eigen servers onversleuteld open op internet; het datalek was niet gemeld | Le Monde du Droit |
| apr. 2022 | CNIL | Een maker van laboratoriumsoftware (niet genoemd) | € 1.500.000 | Verplichtingen als verwerker, handelen buiten de instructies van de laboratoria, en beveiliging van de patiëntgegevens die het bewaarde | CNIL |
| mei 2023 | CNIL | Een website over gezondheid en welzijn (niet genoemd) | € 380.000 | Cookies geplaatst zonder toestemming, toestemming voor gezondheidsgegevens uit online tests, en beveiliging | CNIL |
| jan. 2024 | CNIL (vereenvoudigde procedure) | Een tandarts (niet genoemd) | € 5.000 | Gegevensbeveiliging, en het recht van een patiënt op inzage in gezondheidsgegevens niet gerespecteerd | CNIL |
| sep. 2024 | CNIL (vereenvoudigde procedure) | Een opleidingsinstituut voor zorgprofessionals (niet genoemd) | € 15.000 en een bevel tot naleving | Informatie over en toestemming voor cookies, recht op wissing, geen goede verwerkersovereenkomst, en beveiliging | CNIL |
| feb. 2023 t/m feb. 2026 | CNIL (vereenvoudigde procedure) | Minstens negen huisartsen, andere artsen en tandartsen (niet genoemd) | € 3.000 tot € 5.000 per persoon, vaak met een bevel tot naleving | Vooral patiënten die geen inzage in hun medisch dossier kregen, en zorgverleners die de CNIL niet antwoordden | CNIL |
| juli 2026 | CNIL | Hôpital Privé de la Loire | € 500.000 en een bevel om de beveiligingsmaatregelen af te ronden | Een aanvaller kwam binnen via de login voor externe gebruikers, onder wie vrijgevestigde artsen, zonder VPN of meerfactorauthenticatie; 524.867 patiënten getroffen | CNIL |
| juni 2026 | Cour de cassation, handelskamer (n° 24-13.306, gepubliceerd) | Een bedrijf dat een vervalste factuur betaalde (hier niet genoemd) | Arrest in hoger beroep vernietigd; zaak verwezen naar het hof van beroep in Lyon | Een factuur van € 103.375,64 kwam van een adres dat één letter verschilde van dat van de leverancier. Een oplichter die zich als de leverancier voordoet, is geen schijnbare schuldeiser, dus het betalen van de factuur delgde de schuld niet | Cour de cassation |
| juli 2026 | Cour de cassation, handelskamer (n° 25-15.283) | Twee bankklanten (niet genoemd), in een vordering tegen BNP Paribas | Veroordeling van de bank tot terugbetaling vernietigd; zaak verwezen naar het hof van beroep in Lyon | Een termijnbetaling aan een aannemer werd overgemaakt naar het IBAN in een e-mail van een nepadres; de bank had de overboekingen uitgevoerd op het opgegeven IBAN (artikel L.133-21, Code monétaire et financier) | Cour de cassation |
| mrt. 2026 | Tribunal judiciaire de Paris (eerste aanleg, bekend uit een column in de pers) | Een notariskantoor (niet genoemd in de berichtgeving) | 70% van de schade van € 68.607,38 voor het kantoor, 30% voor de koper; beide banken niet aansprakelijk | Het kantoor had zijn RIB gemaild "par un moyen non sécurisé" (via een onbeveiligd kanaal), tegen de eigen waarschuwing van de notarissen uit 2022 in; de e-mail werd onderschept en het IBAN gewijzigd. Of er hoger beroep is ingesteld, is onbekend | Journal du Net |
| nov. 2025 | CNIL (vereenvoudigde procedure) | Een advocatenkantoor (door de CNIL geanonimiseerd) | € 5.000 | Recht op wissing niet gerespecteerd; geen medewerking aan de CNIL | CNIL |
| okt. 2021 | CNIL | Een notaris (door de CNIL geanonimiseerd) | € 3.000 en een bevel | Geen medewerking aan de CNIL | CNIL |
De details, voor wie meer wil weten
Boeteverkenner
Kies een risico. De markt volgt uw keuze bovenaan.
Wettelijk maximum in Frankrijk
Grote zaken: € 325 mln (Google) en € 150 mln (Shein) in september 2025 (CNIL, 2025 tot 2026).
Wat kleinere bedrijven echt meemaken
Vereenvoudigde procedure: tot € 20.000 voor organisaties met minder dan € 50 mln omzet (CNIL, geraadpleegd nov 2026). Begin 2026 bedroegen 23 van zulke sancties gemiddeld ongeveer € 5.800, en geen enkele kwam op het maximum (Journal de l'économie, 7 jul 2026).
Bekende zaken
American Express € 1,5 mln (dec 2025), de uitgever van Vanity Fair € 750.000 (nov 2025).
Wie treedt op
CNIL (Commission nationale de l'informatique et des libertés)
De balken zijn onderling op schaal. Wettelijke maxima liggen veel hoger en staan links. Een boete is nooit zeker; de oplossing wel.
Cookie Fix: een toestemmingsbanner waarop Weigeren even makkelijk is als Accepteren, tags die eraan gekoppeld zijn, een nieuwe scan die aantoont dat er niets te vroeg afgaat, een cookieverklaring en het bewijs.